技术分享｜如何安全的使用 Kubernetes configMap

发布时间：

2023-07-21 15:24

前言

在我们了解如何使用ConfigMap之前，让我们先探索一下ConfigMap的技术细节以及它在Kubernetes中扮演的角色。

01 ConfigMap的工作原理

ConfigMap是Kubernetes中用于存储配置数据的对象类型，以键值对的形式存储明文和二进制数据。ConfigMap与其他Kubernetes对象使用的Spec字段有所不同。ConfigMap可以存储二进制数据，但会将其编码为Base64字符串。明文数据则以UTF-8字节序列的形式存储。

集群可以通过以下方式访问ConfigMap：

将ConfigMap作为数据卷挂载到Pod中，以供Pod直接读取配置数据。
在同一Kubernetes命名空间中的Pod可以通过远程访问来获取ConfigMap中的配置数据。
将ConfigMap与Pod分离，使其它Kubernetes集群组件可以使用它们，例如使用ConfigMap中的数据进行动态配置或调整。

Pods可以使用ConfigMap作为配置文件、环境变量或命令行参数，将配置数据传递给应用程序或容器。

需要注意的是，ConfigMap的大小限制为1 MB。如果有更大的数据集，应考虑其他数据存储选项，如数据库、单独的文件挂载或文件服务。ConfigMap适合存储较小的配置数据，而不适合存储大型数据集。

02 ConfigMap的作用

ConfigMap发挥的关键作用是通过将应用程序代码与配置设置分离来使应用程序可移植。这种分离使得有效地从开发环境迁移到测试环境并最终迁移到生产环境成为可能。

03 安全使用ConfigMap

在开始之前，以下是在本地 Kubernetes 集群中创建 ConfigMap的先决条件：

Docker Desktop新版本
Minikube
Kubectl
代码编辑器，例如VS Code

在这个演示中，我们将探索如何使用YAML创建一个ConfigMap并将其作为卷进行挂载。这种方法使我们能够创建其它Kubernetens资源一样创建ConfigMap。

创建一个名为mongo-config.yaml的文件，并添加以下代码：

然后，使用以下命令创建一个ConfigMap：

现在，让我们看看如何使用 ConfigMap。此演示使用上面创建的 ConfigMap 和环境变量。要使用 ConfigMap，请将envFrom属性添加到Pod的YAML，如下面的代码所示：

在上面的代码片段中，我们用于envFrom从容器访问 ConfigMap 信息。最后一步是将其附加到我们通过运行以下命令创建的 Pod：

这使得 ConfigMap 作为环境变量可供容器使用。

04 Kubernetens中的Secrets

Secrets通常被认为是ConfigMap的安全替代品，因为它们有一些共同点它们都使用键值对来存储数据，并且可以用作卷、环境变量和API服务访问的对象类型。它们都有1MB的大小限制，适合存储较小的数据集。

Secrets是专门设计用于加密和存储Kubernetes中的敏感数据的对象类型。它们用于存储密码、API密钥、令牌、数据库连接字符串等需要保密的机密数据。通过将敏感数据与应用程序代码分离，可以降低敏感数据曝光的风险，从而增强集群和应用程序的安全性。

然而，不应将Secrets直接用作环境变量。这是因为环境变量在发生崩溃或错误时通常会被转储到日志中，并且可以通过命令行工具（如kubectl describe pod）或容器运行时（如docker inspect）以纯文本形式公开环境变量值。因此，将敏感数据直接作为环境变量存在安全风险。

相反，建议将Secrets作为卷（Volume）或挂载（Mount）到Pod中，以安全的方式将敏感数据提供给应用程序。这样可以确保敏感数据不会明文显示在日志中，并提供更高的安全性。

根据您要保护的数据类型，Kubernetes提供了多种类型的Secrets。常用的类型是Opaque，它可以处理任意用户定义的数据。对于基本身份验证，可以使用basic-auth类型的Secrets。

需要注意的是，默认情况下，Secrets不会被加密并存储在etcd中（即API服务器的存储中）。任何具有API访问权限的人都可以访问和修改Secrets信息。为了限制对Secrets的访问，您可以执行以下操作：

启用秘密数据的静态加密。许多托管的Kubernetes提供商在创建集群时会提供这个选项来对Secrets进行加密保护。
启用和配置RBAC（Role-Based Access Control）规则，以限制对Secrets的读取和编辑权限。
使用RBAC限制Secrets的创建者，确保只有授权的用户或角色能够创建和管理Secrets。

05 ConfigMap与Secrets的区别

主要区别在于数据的保密性：Secrets会对数据进行Base64编码以保护机密性，而ConfigMap中的数据是明文的。

06 如何使用ConfigMap

使用ConfigMap可以将应用程序数据与配置代码解耦，使得配置可以在不修改容器的情况下进行修改和管理。对于连接到MySQL数据库的员工数据应用程序容器，将数据库连接配置硬编码到容器中会导致在从开发环境切换到生产环境时出现混乱。通过将配置数据存储在ConfigMap中，您可以将配置与容器分离，并在不同的环境之间轻松切换应用程序。当需要修改数据库引用时，只需修改ConfigMap中的值，而不需要重新构建或修改容器。这样可以提高应用程序的可移植性和可维护性。需要注意的是，ConfigMap适用于非敏感数据，例如数据库连接信息、服务URL、配置参数等。对于敏感数据，如密码、API密钥等机密信息，应存储在Kubernetes Secrets中进行加密和限制访问。

这是一个ConfigMap的示例：

上面的ConfigMap YAML文件包含了非敏感的数据库连接细节，包括服务器主机、服务器端口和数据库名称。

07 如何使用Secrets

使用Secrets可以将敏感数据与应用程序代码解耦，从而防止在创建或修改Pod时意外地暴露敏感信息。举例来说，假设我们有一个员工数据的应用程序，它需要连接到数据库。这些数据库连接所需的服务器主机、端口、数据库名称、用户名和密码都属于敏感数据。通过将这些敏感数据存储在Secrets中，可以确保在创建或修改Pod时不会意外地泄露这些敏感信息。

与ConfigMap相比，Secrets提供了更高的安全性，因为Secrets中的数据会被加密。默认情况下，Secrets不会以明文形式存储在API服务器的存储中。只有具有适当权限的用户才能访问和修改Secrets。这确保了敏感数据的保密性和安全性。

下面是一个Secrets文件的示例：